Gitea / Forgejo

Forgejo vor Version 16.0.4 erlaubt Remote Code Execution über ein präpariertes Template-Repository, weil die Template-Expansion von Dateien im Verzeichnis .forgejo/template fehlerhaft verarbeitet wird. CVSS-Basiswert: 9.9 (Kritisch). Der Fund ist laut Zuordnung mehreren Herstellern zugeordnet: Gitea Ltd, SimpleHelp Ltd, Light Code Labs und Sonatype.

Gitea prüft laut NVD beim Löschen von Git-LFS-Locks die Zugehörigkeit zum Repository nicht korrekt. Ein Benutzer mit Schreibzugriff auf ein Repository kann dadurch LFS-Locks anderer Repositories löschen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Gitea validiert laut NVD die Repository-Eigentümerschaft beim Verknüpfen von Anhängen mit Releases nicht korrekt. Ein in ein privates Repository hochgeladener Anhang könnte mit einem Release in einem anderen, öffentlichen Repository verknüpft und dadurch für Unbefugte zugänglich werden. CVSS-Basiswert: 9.1 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Gitea prüft bei Operationen an Organisationsprojekten die Projekteigentümerschaft nicht korrekt. Ein Benutzer mit Schreibrechten auf Projekte einer Organisation kann dadurch möglicherweise Projekte verändern, die einer anderen Organisation gehören. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Forgejo vor Version 1.20.5-1 prüfen bestimmte Endpunkte nicht, ob ein Objekt zu dem Repository gehört, für das die Berechtigungen geprüft werden. Dadurch können entfernte Angreifer private Issues und Pull Requests lesen, Issues löschen und weitere unbefugte Aktionen ausführen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Forgejo 1.20.5-1 oder neuer aktualisieren.

Gitea ermöglicht in Versionen vor 1.27.0 authentifizierten Angreifern, bestehende SSRF-Schutzmassnahmen zu umgehen, indem sie HTTP-Fetch-Operationen bei der Migration und beim Abrufen von OAuth-Avataren ausnutzen. CVSS-Basiswert: 7.6 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Gitea prüft den Repository-Kontext beim Löschen von Anhängen nicht korrekt. Ein Nutzer, der zuvor einen Anhang in ein Repository hochgeladen hat, kann diesen unter Umständen auch nach dem Verlust des Zugriffs auf jenes Repository löschen, indem er die Anfrage über ein anderes, für ihn zugängliches Repository stellt. Betroffen ist die Integrität. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Gitea vor Version 1.23.0 erlaubt es Angreifern, Anhänge mit eigentlich verbotenen Dateiendungen hinzuzufügen, indem der Name eines Anhangs über die Attachment-API bearbeitet wird. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf Gitea 1.23.0 oder neuer.

In Forgejo vor Version 1.20.5-1 kann die Zwei-Faktor-Authentifizierung umgangen werden, wenn der Docker-Login Basic Authentication verwendet. Ein Angreifer kann dadurch den zusätzlichen Schutz der Zwei-Faktor-Authentifizierung aushebeln. CVSS-Basiswert: 7.5 (Hoch).

Für Gitea beziehungsweise Forgejo ist CVE-2026-20800 in den Security Advisories des Projekts auf GitHub verzeichnet; die Quelle enthält keine weiterführende technische Beschreibung der Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Forgejo bis Version 15.0.4 wurde eine Schwachstelle gefunden. Betroffen ist die Funktion net.LookupIP der Datei services/migrations/allowlist/is_migrate_allowed.go der Komponente Repository Migration Handler. CVSS-Basiswert: 6.3 (Mittel).